基于PowerShell的APT渗透测试关键技术研究

《基于PowerShell的APT渗透测试关键技术研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、硕士学位论文基于PowerShell的APT渗透测试关键技术研究RESEARCHONPOWERSHELLTECHNOLOGIESFORAPTPENETRATIONTESTING陈向军哈尔滨工业大学2018年6月国内图书分类号：TP393.08学校代码：10213国际图书分类号：004.93密级：公开工学硕士学位论文基于PowerShell的APT渗透测试关键技术研究硕士研究生：陈向军导师：傅忠传副教授申请学位：工学硕士学科：计算机科学与技术所在单位：计算机科学与技术学院答辩日期：2018年6月授予学位单位：哈尔滨工业大学ClassifiedIndex:TP393.08U.D.C:004.93

2、DissertationfortheMasterDegreeinEngineeringRESEARCHONPOWERSHELLTECHNOLOGIESFORAPTPENETRATIONTESTINGCandidate：XiangjunChenSupervisor：A/Prof.ZhongchuanFuAcademicDegreeAppliedfor：MasterofEngineeringSpeciality：ComputerScienceandTechnologyAffiliation：SchoolofComputerScienceandTechnologyDateofDefence：Jun

3、e,2018Degree-Conferring-Institution：HarbinInstituteofTechnology哈尔滨工业大学工学硕士学位论文摘要近些年，网络攻击的目的正在逐步发生改变，由单纯地进行破坏转变成针对某些特定目标进行长期持续性的渗透攻击，并且这一趋势日趋激烈。这种针对某些特定目标进行长久化渗透攻击的新型攻击手段被人们称之为APT（AdvancedPersistentThreat）攻击，它不同于传统的网络攻击，具有潜伏期长、难以被察觉和危害性更大的特点。PowerShell是微软公司为Windows操作系统开发的一种命令行应用程序，与.NETFramework绑定在一

4、起，具有功能强大、隐蔽性强与操作灵活的特点，这些特点使它逐步成为APT攻击的主流攻击工具。微软针对基于PowerShell的脚本攻击，设立了四道安全防线，分别是：PowerShell执行策略、应用程序白名单与AppLocker、AMSI（AntimalwareScanInterface）和PowerShell约束语言模式，这四道防线有效地阻挡了绝大多数基于PowerShell的脚本攻击。本文对基于PowerShell的APT攻击渗透过程中涉及到的关键技术进行了研究。首先，阐述了PowerShell执行策略和应用程序白名单的工作原理，并提出了2个绕过PowerShell执行策略的方法，这些方法

5、也可以绕过应用程序白名单对PowerShell的限制；其次，阐述了AMSI的工作原理和工作过程，并提出了1个在Windows10操作系统上绕过AMSI检测的方法和1个基于AMSI的代码混淆方法；再次，阐述了基于Office漏洞、基于DDE和基于VBA的3种文档病毒的攻击原理，提出了1种新型宏病毒，该宏病毒可以通过360安全卫士、腾讯电脑管家、金山毒霸、Dr.Web、Kaspersky和WindowsDefender这6款反病毒软件的静态检测；最后，设计并实现了一套APT渗透框架，该框架可以对PowerShell脚本进行代码混淆，也可以生成5种类型的文档病毒，还可以与文档病毒配合起来进行APT

6、攻击。关键词：APT；PowerShell；文档病毒；AMSI；代码混淆-I-哈尔滨工业大学工学硕士学位论文AbstractInrecentyears,thepurposeofcyberattackshasbeengraduallychanging,fromsimplydestroyingtobecomingalong-termpersistentpenetrationattackoncertainspecifictargets,andthistrendhasbecomeincreasinglyfiercer.Thisnewtypeofattackmethodforlong-termpene

7、trationattacksonspecifictargetsiscalledtheAdvancedPersistentThreat(APT)attack,whichisdifferentfromtraditionalnetworkattacks.Ithasthecharacteristicsoflonglatency,difficultytobenoticedandgreaterharm.PowerShel